Servergeloofsbrieven¶

By default all certificates trusted by the system (see ca-certificates package) are used for the verification of the server certificate. An alternative certificate authority (CA) can be configured with the Acquire::https::CAInfo option and its host-specific option Acquire::https::host::CAInfo. The CAInfo option specifies a file made up of CA certificates (in PEM format) concatenated together to create the chain which APT should use to verify the path from your self-signed root certificate. If the remote server provides the whole chain during the exchange, the file need only contain the root certificate. Otherwise, the whole chain is required. If you need to support multiple authorities, the only way is to concatenate everything.

A custom certificate revocation list (CRL) can be configured with the options Acquire::https::CRLFile and Acquire::https::host::CRLFile. As with the previous option, a file in PEM format needs to be specified.

Beveiliging uitschakelen¶

Als tijdens het proces van serverauthenticatie de verificatie van het certificaat om een af andere reden (vervallen, herroepen, persoon in het midden, enz.) mislukt, mislukt het tot stand brengen van de verbinding. Dit is duidelijk wat u in alle gevallen wenst en wat voorzien wordt in de standaardwaarde (true) van de optie Acquire::https::Verify-Peer en diens computerspecifieke variant. Indien u precies weet wat u doet, kunt u door deze optie op "false" in te stellen, de wederzijdse verificatie van certificaten overslaan en ervoor zorgen dat de uitwisseling succesvol is. Nogmaals: deze optie is enkel bedoeld met het oog op foutopsporing en het uitvoeren van testen, aangezien ze alle beveiliging wegneemt die door het gebruik van HTTPS geboden wordt.

Op dezelfde manier kan de optie Acquire::https::Verify-Host en zijn computerspecifieke variant gebruikt worden om een beveiligingsfunctie te deactiveren: het door de server geleverde certificaat bevat de identiteit van de server en die moet overeenkomen met de DNS-naam die gebruikt wordt om hem te benaderen. Zoals gevraagd wordt door RFC 2818 wordt de naam van de spiegelserver standaard getoetst aan de identiteit die in het certificaat gevonden wordt. Dit standaardgedrag is veilig en moet niet gewijzigd worden, maar indien u weet dat de server die u gebruikt, een DNS-naam heeft die niet overeenkomt met de identiteit uit diens certificaat, kunt u de optie instellen op "false", hetgeen zal voorkomen dat de vergelijking uitgevoerd wordt.

Cliëntauthenticatie¶

Behalve de geboden ondersteuning voor authenticatie via een wachtwoord (zie apt_auth.conf(5)), ondersteunt HTTPS ook authenticatie op basis van cliëntcertificaten via Acquire::https::SSLCert en Acquire::https::SSLKey. Deze moeten respectievelijk ingesteld worden op de bestandsnaam van het X.509 cliëntcertificaat en de ermee verbonden (niet-versleutelde) private sleutel, beide in PEM-indeling. In de praktijk wordt de computerspecifieke variant van beide opties ten zeerste aanbevolen.